{"id":4471,"date":"2019-05-23T06:13:46","date_gmt":"2019-05-23T05:13:46","guid":{"rendered":"https:\/\/www.cr-online.de\/blog\/?p=4471"},"modified":"2020-02-14T14:44:25","modified_gmt":"2020-02-14T13:44:25","slug":"datenschutz-das-zuegellose-recht-teil-iv-der-praeventionsstaat","status":"publish","type":"post","link":"https:\/\/www.cr-online.de\/blog\/2019\/05\/23\/datenschutz-das-zuegellose-recht-teil-iv-der-praeventionsstaat\/","title":{"rendered":"Datenschutz, das z\u00fcgellose Recht – Teil IV: Der Pr\u00e4ventionsstaat"},"content":{"rendered":"

In Teil IV der Blogserie wird dargelegt, wie die DSGVO den Pr\u00e4ventionsstaat, den sie eigentlich verhindern soll, erschafft.<\/p>\n

I. Was ist ein Pr\u00e4ventionsstaat?<\/strong><\/h3>\n

Der Pr\u00e4ventionsstaat ist ein Topos aus der Debatte um das richtige Verh\u00e4ltnis von Freiheit und Sicherheit in Zeiten terroristischer Bedrohungen. Viele Kritiker der Sicherheitsgesetzgebung beklagen eine Entwicklung vom Rechtsstaat zum Pr\u00e4ventionsstaat.<\/p>\n

Vgl.\u00a0Huster\/Rudolph<\/em> (Hrsg.), Vom Rechtsstaat zum Pr\u00e4ventionsstaat<\/a>; Prantl<\/em>, Der gro\u00dfe R\u00fcssel<\/a>; D\u00e4ubler-Gmelin<\/em>, Vom Rechtsstaat zum Pr\u00e4ventionsstaat<\/a>); Hofmann\/Z\u00e4ngerling<\/em>, Innere Sicherheit und Pr\u00e4ventionsstaat<\/a>; grundlegend Denninger<\/em>, Der Pr\u00e4ventions-Staat<\/a>.<\/p><\/blockquote>\n

Mit Pr\u00e4ventionsstaat ist ein Staat gemeint, der sich der\u00a0fr\u00fchzeitigen Erkennung und Verringerung m\u00f6glicher Bedrohungen f\u00fcr den Staat und seine B\u00fcrger verschrieben hat und der Informationsverarbeitung sowie hoheitliche Kontrollinstrumente gezielt und fl\u00e4chendeckend einsetzt, um unerw\u00fcnschtes Verhalten der B\u00fcrger von vorneherein zu verhindern. Datensch\u00fctzer warnen vor dem Pr\u00e4ventionsstaat und sehen es als Ziel ihrer Arbeit an, den B\u00fcrger vor diesem zu sch\u00fctzen (vgl. etwa Caspar<\/em>, Datensch\u00fctzer warnt vor Pr\u00e4ventionsstaat<\/a>).<\/p>\n

Paradoxerweise erschafft das Datenschutzrecht den Pr\u00e4ventionsstaat, den es eigentlich verhindern will\u00a0(vgl.\u00a0Stentzel<\/em>, \u00a0Der datenschutzrechtliche Pr\u00e4ventionsstaat<\/a>).<\/p>\n

II. Der datenschutzrechtliche Pr\u00e4ventionsstaat<\/strong><\/h3>\n

1. Jeder B\u00fcrger ein potentielles Risiko<\/strong><\/h3>\n

Der freiheitliche\u00a0Rechtsstaat<\/strong> zeichnet sich dadurch aus, dass er es dem B\u00fcrger durch Gew\u00e4hrleistung von Rechtssicherheit erm\u00f6glicht, durch normkonformes Verhalten den Staat auf Distanz zu halten.<\/p>\n

Dem Pr\u00e4ventionsstaat<\/strong> wird hingegen unterstellt, dass er jeden B\u00fcrger als potenzielles Risiko ansehe. Dies d\u00fcrfe aber nicht sein, da so jeder zum Objekt staatlicher \u00dcberwachung und Kontrolle werden k\u00f6nne. Rasterfahndung, Vorratsdatenspeicherung und \u00e4hnliche staatliche Ma\u00dfnahmen werden mit dieser Begr\u00fcndung abgelehnt.<\/p>\n

Im datenschutzrechtlichen Pr\u00e4ventionsstaat <\/strong>wird jeder Datenverarbeiter als potenzielles Risiko angesehen. Manche Advokaten des Datenschutzrechts meinen sogar, dass im Datenschutz ein generalisiertes Angreifermodell gelte: „Jede Organisation, gerade und auch die rechtlich zur Verarbeitung befugte, ist ein Angreifer!“ (vgl. Rost<\/em>,\u00a0K\u00fcnstliche Intelligenz trifft Datenschutz<\/a>). Damit aber macht das Datenschutzrecht, was bei der Sicherheitsgesetzgebung strikt abgelehnt wird: jeder B\u00fcrger wird unter Generalverdacht gestellt – allein schon, weil er mit seinem Smartphone Daten verarbeiten kann.<\/p>\n

2. Vorverlagerung der Gefahrenabwehr<\/strong><\/h3>\n

Der freiheitliche<\/strong>\u00a0Rechtsstaat<\/strong> zeichnet sich dadurch aus, dass er sich mit dem normkonformen Verhalten der B\u00fcrger zufrieden gibt und nicht auf ihre blo\u00dfen Absichten, ihre Gesinnung zugreift. Als Konsequenz daraus erfordern staatliche Eingriffsma\u00dfnahmen der Gefahrenabwehr immer mindestens eine konkrete<\/span> Gefahr f\u00fcr ein Rechtsgut, also die hinreichende Wahrscheinlichkeit eines Schadenseintritts.<\/p>\n

Dem Pr\u00e4ventionsstaat<\/strong> wird hingegen unterstellt, bereits die rechtsfeindliche Gesinnung feststellen und bek\u00e4mpfen zu wollen, noch bevor sich diese in Handlungen realisiert. In diese Kategorie wird man aktuell wohl die Sonderbehandlung von „Gef\u00e4hrdern“<\/a>\u00a0einordnen m\u00fcssen. Auch bei dem Begriff der „drohenden Gefahr“<\/a>, der neuerdings in das Polizeirecht eingef\u00fchrt wird, verlagert sich \u00a0die Gefahrenabwehr in das Vorfeld der konkreten Gefahr (vgl. Enders<\/em>, Verfassungsgrenzen der „drohenden Gefahr“<\/a>).<\/p>\n

Im datenschutzrechtlichen Pr\u00e4ventionsstaat\u00a0<\/strong>wird bereits die \u00a0Schaffung eines noch so entfernten Risikos einer Rechtsbeeintr\u00e4chtigung durch Datenverarbeitung mit umfangreichen „Compliance“-Pflichten belegt. Die\u00a0DSGVO errichtet eine regelrechte „Vorfeldschutz-Kaskade“ (von Lewinski<\/em>): jeder Datenverarbeiter muss zahlreiche\u00a0formelle und materielle Pflichten erf\u00fcllen, noch bevor er \u00a0\u00fcberhaupt mit der Datenverarbeitung beginnen darf. Auf\u00a0die Verursachung einer Rechtsgutsverletzung oder eines Schadens\u00a0kommt es gar nicht mehr an. Dass von der Konferenz der Datenschutzbeauftragen (DSK) bereits die Tatsache der Verarbeitung\u00a0personenbezogener Daten zu einem Schaden umgedeutet wird<\/a>\u00a0(hierzu Veil<\/em>, Datenschutzversto\u00df = Schaden?<\/a>), stellt eine interessante Parallele zur Rechtfertigung des Versuchs der Verhaltenssteuerung im Pr\u00e4ventionsstaat dar.<\/p>\n

3. Umfassende Informationsgewinnung<\/strong><\/h3>\n

Pr\u00e4vention und Risikovorsorge sind zun\u00e4chst auf den Erwerb von Wissen angelegt. Im Pr\u00e4ventionsstaat<\/strong> m\u00fcssen die Sicherheitsbeh\u00f6rden versuchen, m\u00f6glichst fr\u00fchzeitig in Erfahrung zu bringen, wann und wo terroristische Anschl\u00e4ge geplant werden oder wo auch nur ein diese beg\u00fcnstigendes gesellschaftliches Milieu besteht. Dies f\u00fchre zu dem Verlangen, die B\u00fcrger m\u00f6glichst umfassend kontrollieren zu k\u00f6nnen.<\/p>\n

Im datenschutzrechtlichen Pr\u00e4ventionsstaat <\/strong>haben die Datenschutzaufsichtsbeh\u00f6rden zwar nicht die Befugnis, mit polizeilichen oder geheimdienstlichen Methoden die f\u00fcr ihre \u00dcberwachungst\u00e4tigkeit erforderlichen Informationen zu sammeln. Die DSGVO verpflichtet aber den Datenverarbeiter dazu, dies selbst zu tun. Umfassende Dokumentationspflichten zwingen ihn letztlich dazu, jeden Verarbeitungsschritt und jede technische und organisatorische Ma\u00dfnahme festzuhalten. Umfassende Rechenschaftspflichten zwingen ihn, seine Ma\u00dfnahmen\u00a0jederzeit gegen\u00fcber den Datenschutzaufsichtsbeh\u00f6rden nachweisen zu k\u00f6nnen. Zweck dieser „accountability“ ist es, die staatliche\u00a0Kontrolle zu erleichtern – ein klassischer Ansatz des Pr\u00e4ventionsstaats.<\/p>\n

4. Fehlende Konkretisierung des Schutzguts<\/strong><\/h3>\n

Im freiheitlichen Rechtsstaat<\/strong> sind staatliche Eingriffe in die Freiheit der B\u00fcrger nur zul\u00e4ssig, wenn sie verh\u00e4ltnism\u00e4\u00dfig sind. Eine gerichtliche Verh\u00e4ltnism\u00e4\u00dfigkeitskontrolle setzt voraus, dass das jeweils verfolgte Schutzgut m\u00f6glichst pr\u00e4zise benannt wird, damit es in ein Verh\u00e4ltnis zu dem jeweiligen Freiheitseingriff gesetzt werden kann.<\/p>\n

Gerade dies ist aber im Pr\u00e4ventionsstaat<\/strong> nicht m\u00f6glich. Wenn es nicht um die Abwehr einer konkreten Gefahr, sondern eines unbestimmten Risikos geht, fehlt es an einem Ma\u00dfstab f\u00fcr die Verh\u00e4ltnism\u00e4\u00dfigkeitspr\u00fcfung. Die Gew\u00e4hrleistung von Sicherheit wird dann zu einem Blankettbegriff, der ohne weitere Pr\u00e4zisierung rechtsstaatlich nicht zu disziplinieren ist.<\/p>\n

Im datenschutzrechtlichen Pr\u00e4ventionsstaat<\/strong>\u00a0sch\u00fctzt die\u00a0DSGVO alle „Rechte und Freiheiten nat\u00fcrlicher Personen“ (Art. 1 Abs. 2). Mit dieser Breite potentieller Schutzg\u00fcter ist f\u00fcr jeden\u00a0Rechtsanwender unklar, was der Ma\u00dfstab f\u00fcr die Rechtm\u00e4\u00dfigkeitspr\u00fcfung ist. Dies ist die bemerkenswerteste Parallele zwischen dem sicherheitsrechtlichen und dem datenschutzrechtlichen Pr\u00e4ventionsstaat. Hier liegt vielleicht aber auch das gr\u00f6\u00dfte rechtsstaatliche Problem.<\/p>\n

5. Ergebnis<\/strong><\/h3>\n

Rechtsstaatliches Recht \u201everlangt Herrschaft im Recht, Herrschaft des Rechts \u00fcber die Macht und im Bunde mit ihr, fordert Sicherheit der Rechtserkenntnis und der Rechtsdurchsetzung\u201c (Denninger,<\/em> Der geb\u00e4ndigte Leviathan<\/a>, S. 214). Der Pr\u00e4ventionsstaat ist unter grundrechtlichen und rechtsstaatlichen Gesichtspunkten unbedingt zu vermeiden.<\/p>\n

Ziel des Datenschutzrechts war und ist eigentlich die Verhinderung des Pr\u00e4ventionsstaats. Paradoxerweise etablieren die DSGVO durch ihre Regelungsmechanismen aber \u00fcberall dort, wo Daten verarbeitet werden, Mechanismen des Pr\u00e4ventionsstaats:<\/p>\n

Jeder B\u00fcrger und jedes Unternehmen wird als ein potentielles Risiko angesehen. Die Gefahrenabwehr wird so stark vorverlagert, dass es auf das Vorliegen eines konkreten Risikos gar nicht mehr ankommt. Die umfassenden Dokumentations- und Rechenschaftspflichten der DSGVO dienen der totalen Kontrollierbarkeit des Verhaltens der B\u00fcrger. Und weil ein konkretes Schutzgut nicht benannt wird, fehlen jegliche Ma\u00dfst\u00e4be f\u00fcr die Verh\u00e4ltnism\u00e4\u00dfigkeitspr\u00fcfungen. Dazu kommt ein materielles Datenschutzrecht, das die fl\u00e4chendeckende Lenkung und Kontrolle des digitalen Verhaltens seiner B\u00fcrger zum Ziel hat.<\/p>\n

Die Pr\u00e4misse des Pr\u00e4ventionsstaates ist die Optimierung der Gefahrenabwehr durch Absenkung der Eingriffschwelle. Genau dies erreicht die DSGVO, indem sie jede Verarbeitung personenbezogener Daten als potentiell gef\u00e4hrlich und damit regelungsbed\u00fcrftig ansieht.<\/p>\n

Alle Teile der Blogserie „Datenschutz, das z\u00fcgellose Recht“:<\/strong><\/em><\/h2>\n